一种基于PKS体系的内核架构制造技术

本申请公开了一种基于PKS体系的内核架构，包括：双架构处理器中的用户区域用于调用操作系统安全模块LSM以提供可供安全软件挂钩子的函数对软件挂接进行统一管控，以及为挂接的安全软件的运行资源进行分配；双架构处理器中的安全区域用于当获取到资源访问请求，调用TEE模块对载入内核的代码进行安全性验签，如果验签通过，则运行载入内核的代码；其中，安全区域的权限高于用户区域；UEFI模块用于通过与TEE模块的交互对UEFI固件及操作系统进行可信度量，以实现可信启动。本申请的内核架构能够实时获取计算空间状态以进行保护，避免采用安全外置的双架构导致的安全空间功能少、性能弱。弱。弱。

【技术实现步骤摘要】
一种基于PKS体系的内核架构


[0001]本专利技术涉及计算机
，特别涉及一种基于PKS体系的内核架构。

技术介绍

[0002]现有计算机体系是计算+安全在同一个空间，共享同一套计算资源、内存、I/O资源。这样使安全软件能够获得计算状态和实施保护，但是未知的计算风险会使攻击者获得合法权限或绕过安全软件保护。业内采用的安全外置的双架构往往是安全空间功能少性能弱，无法实时获取计算空间状态，无法及时深入保护。
[0003]因此，如何基于PKS体系提供一种安全可靠的内核架构是本领域技术人员亟待解决的技术问题。

技术实现思路

[0004]有鉴于此，本专利技术的目的在于提供一种基于PKS体系的内核架构，能够实时获取计算空间状态以进行保护，避免采用安全外置的双架构导致的安全空间功能少、性能弱。其具体方案如下：
[0005]双架构处理器中的用户区域，用于调用操作系统安全模块LSM以提供可供安全软件挂钩子的函数对软件挂接进行统一管控，以及为挂接的安全软件的运行资源进行分配；
[0006]双架构处理器中的安全区域，用于当获取到资源访问请求，调用TEE模块对载入内核的代码进行安全性验签，如果验签通过，则运行载入内核的代码；其中，所述安全区域的权限高于所述用户区域；
[0007]位于所述用户区域的UEFI模块，用于通过与所述TEE模块的交互对UEFI固件及操作系统进行可信度量，以实现可信启动。
[0008]可选的，所述用户区域与所述安全区域为通过基于PSPA规范对相关寄存器配置的方式划分得到，且采用共享内存的方式对待传输数据包进行自定义协议握手并传输。
[0009]可选的，所述用户区域，还用于：
[0010]对经过eBPF装载器处理的待载入内核的代码动态进行私钥签名后发送至所述TEE模块，以便所述TEE模块对私钥签名的待载入内核的代码进行验签后运行。
[0011]可选的，所述通过与所述TEE模块的交互对UEFI固件及操作系统进行可信度量，以实现可信启动，包括：
[0012]通过调用所述TEE模块对所述UEFI固件进行可信度量并确定所述UEFI固件可信后启动所述UEFI固件；
[0013]利用所述UEFI固件遍历主板设备得到相关的硬件信息；
[0014]通过调用所述TEE模块对所述硬件信息进行可信度量，如果可信，则进行可信启动。
[0015]可选的，所述通过调用所述TEE模块对所述硬件信息进行可信度量之前，还包括：
[0016]判断可信度量是否为首次度量；
[0017]如果是，则根据首次度量结果生成相应的白名单，使得在后续度量过程中将动态计算的哈希值与所述白名单进行匹配；
[0018]如果匹配成功，则判定度量结果可信；
[0019]如果匹配失败，则跳过继续启动或者进行报错并阻止启动。
[0020]可选的，所述利用所述UEFI固件遍历主板设备得到相关的硬件信息之后，还包括：
[0021]将遍历到的所述硬件信息中的硬盘分区表数据进行拆分；
[0022]将拆分后的数据分批发送至所述TEE模块，以利用所述TEE模块对获取到的分批数据进行度量。
[0023]可选的，所述将遍历到的所述硬件信息中的硬盘分区表数据进行拆分，包括：
[0024]将遍历到的所述硬件信息中的硬盘分区表数据进行拆分，以得到多个以共享内存大小为单位的数据包。
[0025]可选的，所述TEE模块为唯一具有FLASH物理读写功能的模块。
[0026]可选的，所述基于PKS体系的内核架构，还包括：
[0027]异构计算单元，用于接收所述TEE模块下发的挂载的安全软件，以对挂载的安全软件进行异构计算处理。
[0028]可选的，所述TEE模块，还用于根据所述用户区域的配置指令对安全内存进行配置。
[0029]本申请中，基于PKS体系的内核架构包括双架构处理器中的用户区域和安全区域、UEFI模块。其中，用户区域用于调用操作系统安全模块LSM以提供可供安全软件挂钩子的函数对软件挂接进行统一管控，以及为挂接的安全软件的运行资源进行分配；安全区域用于当获取到资源访问请求，调用TEE模块对载入内核的代码进行安全性验签，如果验签通过，则运行载入内核的代码；其中，所述安全区域的权限高于所述用户区域；UEFI模块用于通过与所述TEE模块的交互对UEFI固件及操作系统进行可信度量，以实现可信启动。可见，本申请的内核架构通过划分用户区域和安全区域将非安全计算和安全计算分属于不同空间，同时基于TEE模块与UEFI模块之间的交互能够实时获取计算空间状态以进行保护，避免采用安全外置的双架构导致的安全空间功能少、性能弱。
附图说明
[0030]为了更清楚地说明本专利技术实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本专利技术的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
[0031]图1为本申请提供的一种基于PKS体系的内核架构图；
[0032]图2为本申请提供的一种具体的架构内部交互示意图。
具体实施方式
[0033]下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他
实施例，都属于本专利技术保护的范围。
[0034]现有计算机体系是计算+安全在同一个空间，共享同一套计算资源、内存、I/O资源。这样使安全软件能够获得计算状态和实施保护，但是未知的计算风险会使攻击者获得合法权限或绕过安全软件保护。业内采用的安全外置的双架构往往是安全空间功能少性能弱，无法实时获取计算空间状态，无法及时深入保护。针对上述技术缺陷，本申请提供一种基于PKS体系的内核架构，通过划分用户区域和安全区域将非安全计算和安全计算分属于不同空间，同时基于TEE模块与UEFI模块之间的交互能够实时获取计算空间状态以进行保护，避免采用安全外置的双架构导致的安全空间功能少、性能弱。
[0035]图1为本申请实施例提供的一种基于PKS体系的内核架构图。参见图1所示，该基于PKS体系的内核架构包括双架构处理器中的用户区域和安全区域、UEFI模块及TEE模块，其中：
[0036]双架构处理器中的用户区域，用于调用操作系统安全模块LSM以提供可供安全软件挂钩子的函数对软件挂接进行统一管控，以及为挂接的安全软件的运行资源进行分配；
[0037]双架构处理器中的安全区域，用于当获取到资源访问请求，调用TEE模块对载入内核的代码进行安全性验签，如果验签通过，则运行载入内核的代码；其中，所述安全区域的权限高于所述用户区域；
[0038]UEFI模块，用于通过与所述TEE模块的交互对UEFI固件及操作系本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于PKS体系的内核架构，其特征在于，包括：双架构处理器中的用户区域，用于调用操作系统安全模块LSM以提供可供安全软件挂钩子的函数对软件挂接进行统一管控，以及为挂接的安全软件的运行资源进行分配；双架构处理器中的安全区域，用于当获取到资源访问请求，调用TEE模块对载入内核的代码进行安全性验签，如果验签通过，则运行载入内核的代码；其中，所述安全区域的权限高于所述用户区域；UEFI模块，用于通过与所述TEE模块的交互对UEFI固件及操作系统进行可信度量，以实现可信启动。2.根据权利要求1所述的基于PKS体系的内核架构，其特征在于，所述用户区域与所述安全区域为通过基于PSPA规范对相关寄存器配置的方式划分得到，且采用共享内存的方式对待传输数据包进行自定义协议握手并传输。3.根据权利要求1所述的基于PKS体系的内核架构，其特征在于，所述用户区域，还用于：对经过eBPF装载器处理的待载入内核的代码动态进行私钥签名后发送至所述TEE模块，以便所述TEE模块对私钥签名的待载入内核的代码进行验签后运行。4.根据权利要求1所述的基于PKS体系的内核架构，其特征在于，所述通过与所述TEE模块的交互对UEFI固件及操作系统进行可信度量，以实现可信启动，包括：通过调用所述TEE模块对所述UEFI固件进行可信度量并确定所述UEFI固件可信后启动所述UEFI固件；利用所述UEFI固件遍历主板设备得到相关的硬件信息；通过调用所述TEE模块对所述硬件信息进行可信度量，如果可信，则进行可信启动。5....

【专利技术属性】
技术研发人员：黄明，姬一文，成联国，李毅，李锁在，孔金珠，杨诏钧，刘全仲，邱慧淮，郑世普，王昊，程永灵，
申请(专利权)人：麒麟软件有限公司中国长城科技集团股份有限公司澜起科技股份有限公司，
类型：发明
国别省市：